Gefährdungen im Audit einschätzen

Am Ende dieser Anleitung ist jede Gefährdung eines Prüfobjekts bewertet – entweder mit einer eigenen Einschätzung aus „Schwere der Auswirkung“ und „Eintrittswahrscheinlichkeit“ oder mit einer aus der Prüfobjekt-Hierarchie übernommenen Bewertung. Diese Einschätzungen sind die Datenbasis, aus der Ihr ISMS nach ISO/IEC 27001, BSI IT-Grundschutz oder CISIS12 später ein belastbares Risikoregister aufbaut.

Voraussetzungen

• Sie haben über die Organisationszuordnung oder über die Einstellung „Alle Organisationen“ Zugriff auf das Audit.
• Dem Audit ist ein „Audit-Katalog“ zugewiesen – die Gefährdungen stammen vollständig aus diesem Katalog.
• Sie verfügen über die Berechtigung, Audits zu bearbeiten.
• Das Prüfobjekt ist angelegt, und sein „Prüfobjekt-Typ“ sowie seine „Anwendbarkeit“ sind gesetzt.

Schritt für Schritt

1. Öffnen Sie die Detailansicht des Audits und klicken Sie im Abschnitt „Prüfobjekte“ auf die Bezeichnung des Prüfobjekts.
2. Wechseln Sie in der Seitenansicht im Reiter „Inhalt“ zum Abschnitt „Gefährdungen“. Dort sind alle für dieses Prüfobjekt relevanten Gefährdungen aufgeführt.
3. Klicken Sie auf eine Zeile, um die Gefährdung in einer Seitenansicht zu öffnen.
4. Klicken Sie auf „Bearbeiten“.
5. Entscheiden Sie über das Optionsfeld „Einschätzung übernehmen“, woher die Bewertung stammt:
   • Wenn Sie „Einschätzung übernehmen“ auf ja setzen, werden „Schwere der Auswirkung“ und „Eintrittswahrscheinlichkeit“ automatisch entfernt; die Bewertung folgt der Quelle, also dem übergeordneten Prüfobjekt.
   • Wenn Sie „Einschätzung übernehmen“ auf nein setzen, wählen Sie „Schwere der Auswirkung“ und „Eintrittswahrscheinlichkeit“ selbst aus.
6. Klicken Sie auf „Speichern und schließen“.

Was Sie in der Übersicht sehen

Die Tabelle im Abschnitt „Gefährdungen“ zeigt je Zeile die „Bezeichnung“ der Gefährdung aus dem Audit-Katalog, die „Quelle der Übernahme“, ob die „Einschätzung übernommen“ wird, die „Schwere der Auswirkung“ und die „Eintrittswahrscheinlichkeit“. So erkennen Sie auf einen Blick, welche Prüfobjekte noch eine eigene Bewertung benötigen.

Weiterverwendung der Einschätzung

• Jede Anlage, Änderung und Löschung einer Gefährdungs-Einschätzung wird in der Aktivitätshistorie des Audits protokolliert.
• Die erfassten Einschätzungen speisen das übergreifende Risikomanagement im Modul „Risikoanalysen“ und werden dort zu Einträgen im Risikoregister.
• Wenn Sie ein Prüfobjekt löschen, werden die zugehörigen Gefährdungen mit entfernt.

Tipp aus der Praxis: Übernehmen Sie Gefährdungs-Einschätzungen über die Hierarchie nur dann, wenn das übergeordnete Prüfobjekt fachlich tatsächlich repräsentativ ist – etwa bei derselben Schutzbedarfsklasse oder derselben Standortgruppe. Andernfalls leidet die Aussagekraft der späteren Risikoanalyse, und Sie verschenken den Hauptnutzen der Audit-Granularität.